Parere del Garante n. 330 del 06/10/2022

Parere sullo schema di manuale operativo del Sistema di gestione deleghe (SGD)

Il Garante per la protezione dei dati personali si pronuncia, ai sensi degli artt. 36, parr. 2, 4 e 5, e 58, par. 3, lett. a), b) e c), del GDPR e degli artt. 3, comma 3, e 11, comma 9, del decreto 30 marzo 2022, sullo schema di manuale operativo del Sistema di gestione deleghe (SGD) e sulla relativa valutazione d’impatto. Il parere è reso nell’ambito della disciplina dell’art. 64-ter del CAD, che istituisce il SGD e demanda a un decreto attuativo, nonché al manuale operativo, la definizione delle modalità tecniche e organizzative del sistema.

Quadro normativo di riferimento

L’art. 64-ter del CAD prevede che il SGD sia affidato alla responsabilità della struttura della Presidenza del Consiglio competente per l’innovazione tecnologica e la transizione digitale, la quale si avvale dell’Istituto Poligrafico e Zecca dello Stato S.p.A. per realizzazione, gestione e manutenzione. La stessa struttura è titolare del trattamento, fermo restando il ruolo del gestore come responsabile del trattamento ai sensi dell’art. 28 GDPR.

Il decreto del 30 marzo 2022 disciplina le modalità di funzionamento del SGD e stabilisce, all’art. 3, comma 3, che caratteristiche tecniche, regole tecniche, requisiti di sicurezza e specifiche di funzionamento siano contenuti nel manuale operativo. L’art. 11, comma 9, impone inoltre la valutazione d’impatto prima dell’inizio del trattamento e la consultazione del Garante.

Contenuto dello schema di manuale operativo e della valutazione d’impatto

Lo schema di manuale operativo descrive le principali componenti del sistema: portale utente, portale di sportello, backoffice, portale di federazione, helpdesk e data provider. Sono previste inoltre l’integrazione con basi dati nazionali e verifiche automatizzate in logica “once-only” tramite PDND, ANPR e RGS, al fine di controllare dati anagrafici, rapporti di famiglia, filiazione, status di tutore/curatore/amministratore di sostegno, revoche e cessazione delle deleghe.

La valutazione d’impatto identifica il titolare e il responsabile del trattamento, descrive i casi di conferimento, revoca, rinuncia e annullamento delle deleghe, i periodi di conservazione dei dati e delle tracce di sistema, nonché alcune misure tecniche e organizzative. Essa richiama la necessità di conformarsi ai principi di necessità, proporzionalità e adeguatezza del trattamento.

Profili di criticità rilevati dal Garante

Il Garante osserva che il SGD, consentendo a terzi di accedere a servizi online in nome e per conto di altri, comporta rischi elevati per i diritti e le libertà degli interessati, anche in considerazione della possibilità di trattare dati personali particolarmente sensibili o di compiere operazioni con effetti giuridici rilevanti, inclusi effetti patrimoniali o accessi a prestazioni e benefici pubblici.

L’Autorità evidenzia che alcune criticità già rilevate nel parere del 24 febbraio 2022 sullo schema di decreto non risultano superate e si riflettono sul manuale operativo e sulla valutazione d’impatto.

Compatibilità con l’ordinamento e disciplina delle deleghe

Il Garante ribadisce che la delega digitale si innesta su istituti di rappresentanza già disciplinati dall’ordinamento, sia in ambito pubblicistico sia privatistico, con regole e garanzie specifiche. Il manuale operativo non affronta adeguatamente il problema della compatibilità del sistema con tali discipline settoriali e con le garanzie poste a tutela degli interessati e degli stessi soggetti pubblici o privati che erogano i servizi.

In particolare, resta aperta la questione della possibilità di ricondurre le deleghe semplici e generali entro un quadro coerente con gli istituti esistenti, soprattutto quando sono coinvolti servizi regolati da normative di settore che prevedono modalità proprie di accesso e rappresentanza.

Delega generale, poteri di rappresentanza e verifiche sulle banche dati

Per la delega generale, il decreto modificato prevede che al momento della creazione siano indicate una o più classi di servizio o specifici servizi delegabili in virtù del provvedimento di nomina o della qualità del delegato, e che il SGD verifichi il venir meno dei poteri di rappresentanza mediante interoperabilità con PDND o altre basi dati disponibili.

Tuttavia, secondo il Garante, lo schema di manuale operativo si limita a richiamare in modo generico PDND, ANPR e RGS, senza chiarire quali archivi siano concretamente utilizzati per verificare il possesso e il mantenimento della qualità di tutore, curatore o amministratore di sostegno, né l’estensione dei relativi poteri. La valutazione d’impatto, a sua volta, non dettaglia misure adeguate per presidiare questi aspetti né valuta in modo sufficiente i rischi connessi, anche con riferimento ai dati sulla salute del delegante.

Modalità di conferimento della delega e livelli di sicurezza

Sul conferimento telematico della delega da parte del delegato, il decreto richiede l’inserimento del numero identificativo della tessera sanitaria del delegante e la verifica della sua validità. Il Garante osserva che tale accorgimento può rafforzare la procedura, ma non raggiunge, da solo, un livello di sicurezza equivalente a quello delle altre modalità previste; pertanto non è idoneo, senza ulteriori misure, a legittimare l’accesso a tutte le tipologie di servizi online.

Analogamente, per il conferimento allo sportello in caso di delegante allettato, ricoverato o impossibilitato per motivi sanitari, la documentazione richiesta include una attestazione sanitaria del medico del SSN. Il Garante ritiene che anche questo meccanismo non offra un livello di sicurezza sufficiente e che il trattamento dei dati sullo stato di salute non sia accompagnato da una valutazione dei rischi elevati adeguata ai sensi dell’art. 35 GDPR.

Mancata previsione dell’autenticazione tramite CNS

Lo schema di manuale operativo e la valutazione d’impatto prevedono l’uso di SPID o CIE con livello 2 o superiore per l’accesso al sistema, ma non contemplano la CNS. Il Garante richiama la propria costante attenzione a consentire l’uso della Carta Nazionale dei Servizi per l’accesso ai servizi online e osserva che anche la Conferenza unificata aveva raccomandato di valorizzarla al pari di SPID e CIE.

Servizi delegabili, accountability e valutazione dei rischi da parte dei service provider

Il decreto consente che la delega abbia ad oggetto uno specifico servizio, tutti i servizi di un service provider, una o più classi di servizio, servizi di diversi provider o, in caso di procura generale, tutti i servizi di tutti i provider. Lo schema di manuale operativo si limita però a indicare che le deleghe digitali possono avere a oggetto una o più classi di servizio e che i provider federati possono registrare i servizi delegabili, senza imporre una valutazione concreta dei rischi e della compatibilità con le discipline di settore.

Secondo il Garante, i service provider dovrebbero invece individuare e dimostrare, in ossequio al principio di accountability, quali servizi possano essere resi accessibili tramite ciascuna tipologia di delega, tenendo conto del contesto, delle finalità, dei rischi, delle conseguenze giuridiche e dei limiti previsti dalle specifiche normative. L’assenza di tale valutazione comporta, per l’Autorità, una violazione degli artt. 5, 24, 25, 32 e 35 del GDPR.

Esito del parere

Alla luce delle criticità residue, il Garante esprime parere negativo sullo schema di manuale operativo relativo al Sistema di gestione deleghe e sulla relativa valutazione d’impatto. L’Autorità avverte inoltre il Dipartimento che i trattamenti di dati personali connessi al SGD, come configurati negli atti esaminati, possono verosimilmente comportare violazioni dei principi di liceità, correttezza e trasparenza, minimizzazione, integrità e riservatezza, accountability, privacy by design e by default, nonché degli obblighi di sicurezza previsti dagli artt. 5, 24, 25, 32 e 35 GDPR.

Il provvedimento reca infine l’indicazione dei rimedi giurisdizionali esperibili ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011.